Данные о следах неправомерного доступа к компьютерной информации

Следы неправомерного доступа к компьютерной информации, в силу специфики рассматриваемого вида преступлений, редко остаются в виде изменений внешней среды. Однако это не означает, что материальных следов не остается вообще. Прежде всего они остаются на магнитных носителях информации и отражают изменения в хранящейся в них информации (по сравнению с исходным состоянием). Речь идет о следах модификации информации (баз данных, программ, тек­стовых файлов), находящейся на жестких дисках ЭВМ, дискетах, магнитных лентах, лазерных и магнитоопти­ческих дисках. Кроме того, магнитные носители могут нести следы уничтожения или модификации информа­ции (удаление из каталогов имен файлов, стирание или добавление отдельных записей, физическое разрушение или размагничивание носителей).

Следами могут являться какие-либо рукописные запи­си, распечатки и т. п., свидетельствующие о приготовлении и совершении преступления. Следы могут остаться и на са­мой вычислительной технике (следы пальцев рук, микроча­стицы на клавиатуре, дисководах, принтере и т. д.), а также на магнитных носителях и CD-ROM дисках. Следами, кро­ме того, являются результаты работы антивирусных и тес­товых программ. Данные следы могут быть выявлены при изучении компьютерного оборудования, рабочих записей программистов, протоколов работы антивирусных программ, а также программного обеспечения. Для выявления подобных следов необходимо участие специалистов.

Следы могут оставаться и при опосредованном (удален­ном) доступе через компьютерные сети, например, через Internet. Они возникают в силу того, что система, через ко­торую производится доступ, обладает некоторой информа­цией, которую она запрашивает у лица, пытающегося соеди­ниться с другим компьютером. Система определяет электронный адрес, используемое программное обеспечение и его версию. Кроме того, при доступе в сеть обычно запрашива­ется адрес электронной почты, реальное имя и другие данные. Эту информацию запрашивает системный администратор (провайдер) для контроля обращений на его сервер, и это также позволяет идентифицировать личность лица вникающего в сеть.

Следами, указывающими: на посторонний доступ к информации, могут являться:

- переименование каталогов и файлов;

- изменение размеров и содержимого файлов;

- изменение стандартных реквизитов файлов,

- даты и времени их создания;

- появление новых каталогов, файлов и пр.

Перечисленное может свидетельствовать об изменени­ях в заданной структуре файловой системы, а также об изменении содержимого файлов.

Кроме того, на неправомерный доступ к компьютерной информации могут указывать изменения в заданной ранее конфигурации компьютера, в том числе:

- изменение картинки и цвета экрана при включении;

- изменение порядка взаимодействия с периферийным оборудованием (принтером, модемом и др.);

- появление новых и удаление прежних сетевых устройств.

На неправомерный доступ к компьютерной информа­ции могут указывать и необычные проявления в работе ЭВМ, как-то:

- замедленная или неправильная загрузка операционной системы;

- замедленная реакция машины на ввод с клавиатуры;

- замедленная работа машины с дисковыми накопителя­ми при записи и считывании информации;

- неадекватная реакция ЭВМ на команды пользователя;

- появление на экране нестандартных символов, знаков и пр.

Одной из задач любого исследования является установле­ние идентичности людей, которые совершили дурные поступки. Интернет создает дополнительную сложность при установлении идентичности, осо­бенно с учетом всех различных приложений, которые могут скрывать иден­тичность лиц. Такие технологии, как анонимная переадресация почты, анонимная почта на основе Web, динамическая IP-адресация, DHCP (про­токол динамической конфигурации хоста) и трансляция сетевых адресов (NAT) вносят свой вклад в анонимность, представляемую Интернетом. Другим препятствием для установления идентичности является междуна­родный характер Интернета. Коммуникации через множество различных границ подпадают под различные законы в каждой стране. Поэтому требу­ется международная кооперация для трассировки идентичности в кибер-пространстве.

В этом приложении показывается, что IP-адреса, МАС-адреса, систем­ные имена NetBIOS, адреса e-mail, псевдонимы IRC (Chat), имена пользова­телей и имена хостов являются электронными признаками, которые могут привести к идентичности атакующего. Кроме того, рассматривается, как проследить сообщение e-mail до его источника.

Дата добавления: 2014-01-07